OpenSSF annuncia 13 nuovi membri impegnati a rafforzare la sicurezza della catena di fornitura del software open source

SAN FRANCISCO, 17 agosto 2022 — I Fondazione per la sicurezza open source (OpenSSF), un'organizzazione intersettoriale ospitata presso la Linux Foundation che riunisce le più importanti iniziative di sicurezza della catena di fornitura di software a livello mondiale, ha annunciato mercoledì 13 nuovi membri provenienti dai principali servizi finanziari, tecnologia, occupazione, sviluppo di software, sicurezza informatica, telecomunicazioni e settori accademici.

Il nuovo membro premier, Capital One, si unisce al consiglio di amministrazione di OpenSSF. I nuovi impegni dei membri generali provengono da Akamai, Indeed, Kasten di Veeam, Scantist, SHE BASH, Socket Security, Sysdig, Timesys e ZTE Corporation. I nuovi membri associati includono Eclipse Foundation, Purdue University e TODO Group. "Siamo entusiasti di accogliere nuovi membri in OpenSSF", afferma Brian Behlendorf, direttore generale di OpenSSF. “Mentre le vulnerabilità della sicurezza del software open source continuano ad attirare l’attenzione di governi e aziende di tutto il mondo, l’interesse per il lavoro di OpenSSF è in rapido aumento”.

"Una crescente comunità di organizzazioni, sviluppatori, ricercatori e professionisti della sicurezza sta investendo il tempo e le risorse necessarie per rafforzare la sicurezza open source", ha affermato Jamie Thomas, presidente del consiglio di amministrazione di OpenSSF e IBM Enterprise Security Executive. “I nuovi membri di OpenSSF si uniscono in un momento in cui la collaborazione e l’innovazione intersettoriale sono più che mai necessarie per rispondere in modo proattivo alle minacce pervasive alla sicurezza informatica”.

La risoluzione dei problemi sistemici che hanno portato a gravi vulnerabilità della sicurezza come l’incidente Log4shell sottolinea l’urgenza e l’importanza del lavoro di OpenSSF. Un recente rapporto del Cyber ​​Safety Review Board ha dichiarato che Log4j è diventata una “vulnerabilità endemica” che verrà sfruttata negli anni a venire e che il Piano di mobilitazione in 10 punti introdotto all’inizio di quest’anno all’Open Source Software Security Summit II da OpenSSF migliorerà la resilienza e la sicurezza del software open source.

OpenSSF ospiterà un'intera giornata di sessioni martedì 13 settembre alle OpenSSF Day UE alla vigilia dell'Open Source Summit Europe (OSS EU) a Dublino. I leader dei gruppi di lavoro e i membri della comunità ospiteranno sessioni, panel e dibattiti sul lavoro in corso per proteggere la catena di fornitura del software e il futuro della sicurezza open source. Iscrizione e la partecipazione è gratuita per tutti coloro che frequentano l'OSS EU.

Citazione del membro Premier

Capital One

“Oggi alcune delle esperienze digitali più innovative create per i clienti si basano su software open source. Essendo un'azienda che adotta ampiamente questa tecnologia, Capital One è incredibilmente orgogliosa di unirsi a OpenSSF e ai leader tecnologici mondiali mentre collaboriamo per rafforzare la catena di fornitura della sicurezza del software. Essendo un’azienda altamente regolamentata, siamo esperti nella gestione della conformità e della governance e sosteniamo la standardizzazione, l’automazione e la collaborazione. Non vediamo l’ora di lavorare insieme per identificare soluzioni che portino avanti la missione di OpenOSSF e restituiscano qualcosa alla comunità open source”.

• Chris Nims, EVP di Cloud & Productivity Engineering presso Capital One

Citazioni dei membri generali

Akamai

“Migliorare la sicurezza del software open source, così centrale per l’ecosistema Internet, è una delle sfide di sicurezza più critiche che dobbiamo affrontare oggi. Solo acquisendo visibilità sulla rete e sulla catena di fornitura del software possiamo affrontare in modo affidabile i difetti di sicurezza quando si verificano a livello di codice. La comunità tecnologica deve supportare le comunità open source da cui dipendiamo con risorse finanziarie e tecnologiche per limitare il nostro rischio collettivo. In qualità di fornitore leader di servizi cloud e di sicurezza, non vediamo l’ora di contribuire alla Open Source Security Foundation e di aiutare a portare avanti questo importante lavoro”.

• Robert Blumofe, Vicepresidente esecutivo e CTO, Akamai

Kasten di Veeam

“Siamo onorati di far parte della Open Source Security Foundation (OpenSSF) e di sostenere questa iniziativa insieme ai nostri colleghi. Kasten di Veeam ha una tradizione open source e, con la protezione dei dati Kubernetes come nostra offerta principale, la sicurezza rimane un punto fondamentale per la progettazione e l'implementazione di Kasten K10. Poiché l’adozione di Kubernetes continua ad alimentare i percorsi di trasformazione digitale delle aziende, viene giustamente posta maggiore attenzione alla sicurezza, soprattutto con l’inesorabile aumento degli attacchi ransomware. Kasten by Veeam si impegna a garantire la sicurezza e la protezione dei dati degli ambienti cloud native per proteggere al meglio le applicazioni aziendali”.

• Gaurav Rishi, Vice Presidente Prodotti e Partnership presso Kasten by Veeam

Scantista

“Da un lato, l’industria del software sta beneficiando sostanzialmente della rapida crescita dell’open source, che è diventato l’elemento fondamentale del mondo digitale. D’altro canto, la sicurezza open source sta diventando sempre più critica e tutti questi rischi sono moltiplicati dalla natura interdipendente dell’open source. Ora come membro di OpenSSF, vorremmo contribuire alle missioni OpenSSF basate sulla nostra recente ricerca sull'analisi dell'ecosistema open source per fornire una visione quantitativa per comprendere la complessità e la sicurezza dell'open source. Vogliamo diventare partecipanti attivi, evangelisti e ambasciatori della governance OSS nel sud-est asiatico per promuovere la sicurezza della catena di fornitura del software open source”.

• Dr. Liu Yang, professore alla Nanyang Technological University, Singapore e co-fondatore di Scantist

LEI BASH

“Fin dalla nostra nascita, SHE BASH è stata testimone di una serie di pratiche predatorie del settore che vengono protette da un controllo approfondito attraverso il velo protettivo della fonte chiusa. Fondamentalmente, il software open source è un'istituzione pubblica che consente a tutti di costruire il proprio futuro.

“La combinazione di decenni di apatia e di meccanismi di incentivi che sostengono una cultura del “non importa” ha permesso alla nostra azienda di distinguersi tra le aziende tecnologiche più grandi e colpevoli. Abbiamo sempre considerato "prima le migliori pratiche" come una delle principali proposte di valore che possiamo fornire come azienda, anche se piccola. Il software open source ci ha fornito condizioni di parità per fare le differenze nei principali cambiamenti tecnologici all’interno del settore pubblico, e l’evoluzione di questi cambiamenti è lo sviluppo di migliori pratiche nate dall’open source che oggi sostiene tutta la vita del software. È un vero onore essere d’aiuto al lavoro che OpenSSF sta portando avanti per rimediare a grandi errori strutturali che sono nati da decenni di abbandono”.

• Cameron Banowsky, co-fondatore e CTØ, SHE BASH

Sicurezza della presa

“In qualità di manutentore di pacchetti open source che vengono installati oltre 1 miliardo di volte al mese, il team di Socket conosce perfettamente la massiccia crescita dell'utilizzo delle dipendenze open source. Le applicazioni moderne utilizzano migliaia di dipendenze scritte da centinaia di manutentori e l'installazione anche di un solo pacchetto porta all'arrivo di dozzine di dipendenze transitive. Sfortunatamente, è fin troppo facile per un malintenzionato infiltrarsi nella catena di fornitura del software e provocare il caos. Ecco perché Socket è orgogliosa di unirsi a OpenSSF e di fare la propria parte per rendere l'open source sicuro per tutti con il nostro approccio leader del settore all'analisi della composizione del software, utilizzato da migliaia di aziende per rilevare e prevenire attacchi alla catena di fornitura. Il team di Socket è entusiasta di lavorare con altre aziende associate a OpenSSF per salvaguardare l’ecosistema open source per tutti”.

• Feross Aboukhadijeh, Fondatore e CEO, Socket Security

sysdig

Sysdig è orgoglioso di far parte di OpenSSF e di lavorare insieme per aiutare a guidare gli standard di sicurezza open source e proteggere la catena di fornitura del software. In qualità di azienda di sicurezza cloud basata sull’open source, riteniamo che il settore debba unirsi per rafforzare il software per il bene comune. Avendo creato e contribuito con Falco al CNCF per garantire il runtime, non vediamo l'ora di continuare la collaborazione aperta in OpenSSF. Il futuro della sicurezza è aperto e ciò che facciamo ora plasmerà il software per sempre”.

• Edd Wilder-James, Vicepresidente, Ecosistema Open Source presso Sysdig

Timesys

“Con un aumento di oltre il 650% delle violazioni nella catena di fornitura del software, la sicurezza della catena di fornitura del software è un obiettivo importante. Lavoriamo da più di 5 anni allo sviluppo di tecnologie per contribuire a proteggere, monitorare e mantenere i dispositivi Linux e Android integrati basati su open source da esposizioni e vulnerabilità. Siamo così entusiasti di unirci a questo sforzo comunitario con OpenSSF e di far parte nuovamente della Linux Foundation. Condividendo la tecnologia e collaborando per costruire ecosistemi che accelerano lo sviluppo della tecnologia open source, i produttori di dispositivi e i consumatori di tutto il mondo potranno stare tranquilli sapendo di essere al sicuro”.

• Atul Bansal, amministratore delegato di Timesys

ZTE Corporation

“Siamo molto lieti di unirci a OpenSSF. In qualità di produttore leader a livello mondiale di apparecchiature di comunicazione, utilizziamo sempre più software open source. Pur abbracciando attivamente il software open source, comporta anche rischi senza precedenti per la sicurezza della catena di fornitura del software. ZTE Corporation ha compiuto molti sforzi per controllare e gestire i rischi e considerarli la nostra massima priorità. Dopo aver aderito a OpenSSF, ZTE Corporation collabora con un gruppo di membri con visioni e obiettivi simili per promuovere lo sviluppo della catena di fornitura di software open source verso una direzione più sicura."

• Xiang Shuming, Direttore della conformità OSS e della governance della sicurezza, ZTE Corporation

Risorse addizionali

• Visualizza l'elenco completo degli 89 membri di OpenSSF
• Orologio il recente municipio OpenSSF di agosto
• Contribuire agli sforzi a uno o più gruppi di lavoro e progetti attivi di OpenSSF

Informazioni su OpenSSF

La Open Source Security Foundation (OpenSSF) è un'organizzazione intersettoriale ospitata dalla Linux Foundation che riunisce le più importanti iniziative di sicurezza open source del settore e gli individui e le aziende che le supportano. OpenSSF è impegnato nella collaborazione e nel lavoro sia a monte che con le comunità esistenti per promuovere la sicurezza open source per tutti. Per ulteriori informazioni, visitateci all'indirizzo: openssf.org.

Informazioni sulla Fondazione Linux

Fondata nel 2000, la Linux Foundation e i suoi progetti sono supportati da oltre 2,950 membri. La Linux Foundation è il principale centro mondiale per la collaborazione su software, hardware, standard e dati open source. I progetti della Linux Foundation sono fondamentali per l'infrastruttura mondiale, tra cui Linux, Kubernetes, Node.js, ONAP, Hyperledger, RISC-V e altri. La metodologia della Linux Foundation si concentra sullo sfruttamento delle migliori pratiche e sulla risposta alle esigenze di contributori, utenti e fornitori di soluzioni per creare modelli sostenibili per la collaborazione aperta. Per ulteriori informazioni, visitare il sito linuxfoundation.org.